JP2018093545A - 表示方法、表示装置および表示プログラム - Google Patents

Abstract

【課題】サイバー攻撃の脅威を分り易く表示できる表示方法、表示装置および表示プログラムを提供する。
【解決手段】表示方法は、サイバー攻撃の対象となる装置に関して検知されたサイバー攻撃の情報を取得する処理をコンピュータが実行する。また、表示方法は、地球を示す画像と、該地球を示す画像の周囲に配置された装置を示す画像と、地球を示す画像の表面と装置を示す画像との間に配置され、取得したサイバー攻撃の情報に基づき、装置に関して検知されたサイバー攻撃のレベルを示す画像とを含む画像情報を生成し、該生成された画像情報を出力する処理をコンピュータが実行する。
【選択図】図１

Description

本発明は、表示方法、表示装置および表示プログラムに関する。

近年、インターネット等のネットワークに接続された装置に対して、様々なサイバー攻撃が発生している。サイバー攻撃には、例えば、ウイルス、ワーム、スパイウェア等の悪意のあるソフトウエアであるマルウェアを用いた攻撃や、利用権限の無い装置に対して不正にアクセス権を取得する不正アクセスによる攻撃等が挙げられる。また、あるサーバに対して、多数の端末から大量のアクセスを集中させるＤＤｏＳ（Distributed Denial of Service）攻撃が知られている。このようなサイバー攻撃の実態を把握するために、例えば、地図上にサイバー攻撃元の国と、攻撃対象国および攻撃回数とを表示することが提案されている。

特表２００８−５０１２９６号公報 特表２０１３−５４１７８１号公報

しかしながら、地図上における攻撃対象国および攻撃回数の表示では、例えば、ある組織のネットワーク接続された各装置に対する攻撃を表示することは難しい。例えば、マルウェアによる攻撃が明らかになった場合に、自組織に対するサイバー攻撃がどのような状況かを把握するためには、ファイアウォール、ＩＤＳ（Intrusion Detection System）／ＩＰＳ（Intrusion Prevention System）、マルウェア検知等のログを閲覧し、総合的に判断する必要がある。このことが、自組織がサイバー攻撃を受けているか否かを容易に把握することを困難にしている。

一つの側面では、本発明は、サイバー攻撃の脅威を分り易く表示できる表示方法、表示装置および表示プログラムを提供することにある。

一つの態様では、表示方法は、サイバー攻撃の対象となる装置に関して検知されたサイバー攻撃の情報を取得する処理をコンピュータが実行する。また、表示方法は、地球を示す画像と、該地球を示す画像の周囲に配置された前記装置を示す画像と、前記地球を示す画像の表面と前記装置を示す画像との間に配置され、前記取得した前記サイバー攻撃の情報に基づき、前記装置に関して検知されたサイバー攻撃のレベルを示す画像とを含む画像情報を生成し、該生成された画像情報を出力する処理をコンピュータが実行する。

サイバー攻撃の脅威を分り易く表示できる。

図１は、実施例１の表示装置の構成の一例を示すブロック図である。 図２は、マスタ情報記憶部の一例を示す説明図である。 図３は、統計情報記憶部の一例を示す説明図である。 図４は、アラート情報記憶部の一例を示す説明図である。 図５は、攻撃を受けた場合の画像の一例を示す説明図である。 図６は、攻撃を受けた場合の画像の他の一例を示す説明図である。 図７は、攻撃を受けた場合の画像の他の一例を示す説明図である。 図８は、実施例１の表示装置の処理の一例を示すフローチャートである。 図９は、自組織の装置から外部へのアクセスが発生した場合の画像の一例を示す説明図である。 図１０は、自組織の装置から外部へのアクセスが発生した場合の画像の他の一例を示す説明図である。 図１１は、自組織の装置から外部へのアクセスが発生した場合の画像の他の一例を示す説明図である。 図１２は、表示プログラムを実行するコンピュータの一例を示す説明図である。

以下、図面に基づいて、本願の開示する表示方法、表示装置および表示プログラムの実施例を詳細に説明する。なお、本実施例により、開示技術が限定されるものではない。また、以下の実施例は、矛盾しない範囲で適宜組みあわせてもよい。

図１は、実施例１の表示装置の構成の一例を示すブロック図である。図１では、例えば、外部ネットワークＮ１に、外部の各種サーバや端末装置等を示す情報処理装置１０、および、自組織の内部ネットワークＮ２とのゲートウェイの役目も果たすセキュリティセンサ２０が接続される。内部ネットワークＮ２には、セキュリティセンサ２０と、イベント管理装置３０と、Ｗｅｂサーバ４０と、端末装置５０と、表示装置１００とが接続される。内部ネットワークＮ２は、例えば、組織内のイントラネットであり、イントラネット内の各種装置が接続される。なお、内部ネットワークＮ２に接続される各種装置の数は限定されず、内部ネットワークＮ２には、任意の数の各種装置を接続できる。また、外部ネットワークＮ１には、有線または無線を問わず、インターネット（Internet）を始め、ＬＡＮ（Local Area Network）やＶＰＮ（Virtual Private Network）などの任意の種類の通信網を採用できる。また、内部ネットワークＮ２には、有線または無線を問わず、ＬＡＮやＶＰＮなどの任意の種類の通信網を採用できる。

セキュリティセンサ２０は、例えばファイアウォール、ＩＤＳ／ＩＰＳ、マルウェア（例えばメール不正プログラム）検知、Ｗｅｂ不正プログラム検知等の機能を有する。セキュリティセンサ２０は、これら各機能のイベントログをイベント管理装置３０に送信する。また、セキュリティセンサ２０は、外部ネットワークＮ１と内部ネットワークＮ２とのゲートウェイの機能を有する。

イベント管理装置３０は、セキュリティセンサ２０からイベントログを受信する。イベント管理装置３０は、受信したイベントログに基づいて、相関分析を行い不正な通信を検出する。すなわち、イベント管理装置３０は、自組織のセキュリティに関するイベントを管理する。イベント管理装置３０は、不正な通信を検出した情報を、攻撃元および対象装置を特定する情報とともにアラート情報として表示装置１００に送信する。また、イベント管理装置３０は、例えば、マルウェア、ＩＤＳ／ＩＰＳ（以下、ＩＰＳと示す）、ファイアウォール等のイベントを、攻撃元および対象装置を特定する情報とともにイベント情報として表示装置１００に送信する。

Ｗｅｂサーバ４０は、例えば、内部ネットワークＮ２、セキュリティセンサ２０および外部ネットワークＮ１を介して、例えば端末装置である情報処理装置１０にＷｅｂページを提供する。端末装置５０は、例えば、組織内のユーザが使用するパーソナルコンピュータ等であり、内部ネットワークＮ２、セキュリティセンサ２０および外部ネットワークＮ１を介して、例えばＷｅｂサーバである情報処理装置１０にアクセスする。また、端末装置５０は、表示装置１００で生成された画像を受信して、図示しない表示部に表示する。

表示装置１００は、イベント管理装置３０と接続され、イベント管理装置３０からアラート情報およびイベント情報を受信する。なお、表示装置１００は、内部ネットワークＮ２を介して、イベント管理装置３０からアラート情報およびイベント情報を受信してもよい。表示装置１００は、受信したアラート情報およびイベント情報に基づいて、自組織に対するサイバー攻撃の情報を表示する画像を生成し、内部ネットワークＮ２を介して端末装置５０に表示させる。

続いて、表示装置１００の構成を説明する。図１に示すように、表示装置１００は、通信部１１０と、記憶部１２０と、制御部１３０とを有する。なお、表示装置１００は、図１に示す機能部以外にも既知のコンピュータが有する各種の機能部、例えば各種の入力デバイスや音声出力デバイスなどの機能部を有することとしてもかまわない。

通信部１１０は、例えば、ＮＩＣ（Network Interface Card）等によって実現される。通信部１１０は、イベント管理装置３０と有線または無線で接続され、イベント管理装置３０との間で情報の通信を司る通信インタフェースである。また、通信部１１０は、内部ネットワークＮ２と有線または無線で接続される。通信部１１０は、イベント管理装置３０からアラート情報およびイベント情報のうち１つ以上を受信すると、受信したアラート情報およびイベント情報のうち１つ以上を制御部１３０に出力する。また、通信部１１０は、制御部１３０から画像が入力されると、内部ネットワークＮ２を介して端末装置５０に送信する。さらに、通信部１１０は、内部ネットワークＮ２および外部ネットワークＮ１を介して、ＩＰ（Internet Protocol）アドレスと地理情報とを対応付けた情報を提供するサーバ（以下、地理情報サーバと称する。）からＩＰアドレスと地理情報とを対応付けた情報を受信して、制御部１３０に出力する。

記憶部１２０は、例えば、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、ハードディスクや光ディスク等の記憶装置によって実現される。記憶部１２０は、マスタ情報記憶部１２１と、統計情報記憶部１２２と、アラート情報記憶部１２３とを有する。また、記憶部１２０は、制御部１３０での処理に用いる情報を記憶する。

マスタ情報記憶部１２１は、例えば、地理情報サーバを用いて収集したＩＰアドレスと地理情報とを対応付けて記憶する。すなわち、マスタ情報記憶部１２１には、例えば、あるＩＰアドレスが、どこの国、州、都市等に割り当てられているかを記憶する。図２は、マスタ情報記憶部の一例を示す説明図である。図２に示すように、マスタ情報記憶部１２１は、「ＩＰアドレス」、「地理情報」といった項目を有する。

「ＩＰアドレス」は、例えば地理情報サーバを用いて収集したＩＰアドレスを示す。「ＩＰアドレス」は、外部ネットワークＮ１に応じて、例えば、ＩＰｖ４のＩＰアドレス、または、ＩＰｖ６のＩＰアドレスを用いることができる。「地理情報」は、対応するＩＰアドレスが付与されている装置が地球上の何処に存在するかを示す。「地理情報」は、例えば、日本、アメリカ等の国単位でもよいし、東京都、カリフォルニア州等の広域行政単位、さらには、大阪市、上海市等の都市単位でもよい。

統計情報記憶部１２２は、イベント管理装置３０から取得したイベント情報について統計解析を行った統計情報を記憶する。統計情報記憶部１２２は、例えば、ファイアウォールが通信を許可した件数や通信をブロックした件数、ＩＰＳで検知して遮断した侵入の件数、マルウェアを検知した件数等の統計情報を記憶する。図３は、統計情報記憶部の一例を示す説明図である。図３に示すように、統計情報記憶部１２２は、「時刻」、「攻撃元ＩＰアドレス」、「攻撃先ＩＰアドレス」、「ＦＷ許可件数」、「ＦＷ累計許可件数」、「ＦＷブロック件数」、「ＦＷ累計ブロック件数」といった項目を有する。また、統計情報記憶部１２２は、「侵入阻止件数」、「累計侵入阻止件数」、「マルウェア検知件数」、「累計マルウェア検知件数」といった項目を有する。

「時刻」は、統計解析を行った時刻を示す。「時刻」は、例えば、１分ごととすることができる。「攻撃元ＩＰアドレス」は、例えば、直前の統計解析を行った時刻から「時刻」で示す時刻までの間、例えば、１分間に発生したファイアウォールの突破を試みる攻撃等の攻撃元のＩＰアドレスを示す。「攻撃先ＩＰアドレス」は、例えば、直前の統計解析を行った時刻から「時刻」で示す時刻までの間、例えば、１分間に発生した攻撃について、自組織内の標的となった装置のＩＰアドレスを示す。「攻撃先ＩＰアドレス」は、例えば、組織内の内部ネットワークＮ２に接続されたＷｅｂサーバ等のＩＰアドレスを示す。「ＦＷ許可件数」は、統計解析を行う時間において、セキュリティセンサ２０のファイアウォールを超える通信が許可された件数を示す。「ＦＷ累計許可件数」は、所定時間内、例えば１時間や１日における「ＦＷ許可件数」の累計値を示す。「ＦＷブロック件数」は、統計解析を行う時間において、セキュリティセンサ２０のファイアウォールでブロックされた通信の件数を示す。「ＦＷ累計ブロック件数」は、所定時間内、例えば１時間や１日における「ＦＷブロック件数」の累計値を示す。

「侵入阻止件数」は、統計解析を行う時間において、例えばＩＰＳが侵入を阻止した件数を示す。「累計侵入阻止件数」は、所定時間内、例えば１時間や１日における「侵入阻止件数」の累計値を示す。「マルウェア検知件数」は、統計解析を行う時間において、例えばマルウェアが検知された件数を示す。「累計マルウェア検知件数」は、所定時間内、例えば１時間や１日における「マルウェア検知件数」の累計値を示す。

アラート情報記憶部１２３は、イベント管理装置３０から取得したアラート情報を記憶する。図４は、アラート情報記憶部の一例を示す説明図である。図４に示すように、アラート情報記憶部１２３は、「時刻」、「攻撃元ＩＰアドレス」、「攻撃先ＩＰアドレス」、「種別」、「対処済み」といった項目を有する。

「時刻」は、不正な通信を検出した時刻を示す。「攻撃元ＩＰアドレス」は、不正な通信の攻撃元のＩＰアドレスを示す。「攻撃先ＩＰアドレス」は、不正な通信の攻撃先、つまり、自組織内の標的となった装置のＩＰアドレスを示す。「種別」は、攻撃の種別を示す。「種別」は、例えば、マルウェアに感染した端末から攻撃者のサーバへの侵入応答に用いられるＣａｌｌｂａｃｋ、アプリケーションの脆弱性を突く攻撃にはＡｔｔａｃｋ等が挙げられる。「対処済み」は、不正な通信に対して対処済みであるか否かを示す。「対処済み」は、例えば、不正な通信に対して対処済みである場合には「１」とし、未対処である場合には「０」とする。

図１の説明に戻って、制御部１３０は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって、内部の記憶装置に記憶されているプログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部１３０は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現されるようにしてもよい。制御部１３０は、取得部１３１と、生成部１３２と、出力部１３３とを有し、以下に説明する情報処理の機能や作用を実現または実行する。なお、制御部１３０の内部構成は、図１に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。

取得部１３１は、通信部１１０、内部ネットワークＮ２および外部ネットワークＮ１を介して、地理情報サーバから、ＩＰアドレスと地理情報とを対応付けた情報を取得する。取得部１３１は、取得したＩＰアドレスと地理情報とを対応付けた情報を、マスタ情報記憶部１２１に記憶する。また、取得部１３１には、通信部１１０からアラート情報およびイベント情報のうち１つ以上が入力される。取得部１３１は、入力されたイベント情報を、例えば、所定の時間ごとに統計解析を行って統計情報を生成する。取得部１３１は、生成した統計情報を統計情報記憶部１２２に記憶する。また、取得部１３１は、入力されたアラート情報をアラート情報記憶部１２３に記憶する。

生成部１３２は、自組織に対するサイバー攻撃の情報を表示する画像を生成する。生成部１３２は、例えば、１分ごとに統計情報記憶部１２２およびアラート情報記憶部１２３を参照し、統計情報およびアラート情報を取得する。生成部１３２は、取得した統計情報およびアラート情報に基づいて、サイバー攻撃のレベルに応じた画像を生成する。生成部１３２は、生成した画像を出力部１３３に出力する。なお、生成部１３２は、生成する画像として、静止画像を生成して所定の時間間隔で更新するようにしてもよいし、動画像を生成してもよい。

ここで、図５を用いて画像の生成について説明する。図５は、攻撃を受けた場合の画像の一例を示す説明図である。図５に示すように、画像２０１は、中心に地球２０２が配置され、地球２０２の外側の衛星軌道２０３上に、サイバー攻撃の対象となる装置が配置される。衛星軌道２０３上には、例えば、「Ｆｉｒｅｗａｌｌ」、「Ｐｒｏｘｙ」、「ＤＮＳ」、「ＷｅｂＳｅｒｖｅｒ」、「ＷｅｂＣｌｉｅｎｔｓ」、「ＭａｉｌＣｌｉｅｎｔｓ」、「ＬｏｇＳｅｒｖｅｒ」、「ＭａｎａｇｅｒＳｅｒｖｅｒ」といった装置が配置される。また、衛星軌道２０３上には、例えば、「ＡｎｔｉｖｉｒｕｓＳｅｒｖｅｒ」、「Ｇｒｏｕｐｗａｒｅ」、「ＦｉｌｅＳｅｒｖｅｒ」、「ＭａｉｌＳｅｒｖｅｒ」、「ＤｉｒｅｃｔｏｒｙＳｅｒｖｅｒ」、「Ｎｏｎ−Ｅｘｉｓｔｓ」といった装置が配置される。

生成部１３２は、各装置の配置として、例えば、外部にＩＰアドレスが公開されている装置が、それぞれ隣接するように衛星軌道２０３上に配置するようにしてもよい。また、生成部１３２は、同一種類の装置が複数ある場合に、当該各装置を１つに纏めて衛星軌道２０３上に配置してもよい。例えば、画像２０１では、「ＷｅｂＣｌｉｅｎｔｓ」は、複数のユーザ端末装置である場合が挙げられる。このとき、生成部１３２は、例えば、ユーザの操作によって「ＷｅｂＣｌｉｅｎｔｓ」が選択されると、複数のユーザ端末装置のそれぞれの情報が表示された画像を生成するようにしてもよい。これにより、ユーザ端末装置等の数が多い装置について、全体および個別の情報を分り易く表示することができる。

また、画像２０１は、地球２０２の表面に、ファイアウォールで検知した通信の発信元、すなわち攻撃元が配置される。生成部１３２は、マスタ情報記憶部１２１を参照してファイアウォールで検知した通信の攻撃元のＩＰアドレスから地理情報を取得する。生成部１３２は、例えば、地球２０２の表面について、取得した地理情報に対応する領域の明度または色を変更して、ファイアウォールで検知した通信を表示する。

また、画像２０１は、地球２０２の表面と衛星軌道２０３上の各装置との間に、ＩＰＳイベント、すなわち、衛星軌道２０３上の各装置に対して試みられた侵入の攻撃元を示す情報を表示するレイヤ２０５ａが配置される。生成部１３２は、図５に示すように、ＩＰＳイベントを、例えば光点としてレイヤ２０５ａ上に配置することで表示する。

また、画像２０１は、マルウェアの検知を示す情報を表示するレイヤ２０５ｂが、レイヤ２０５ａと衛星軌道２０３との間に配置される。生成部１３２は、図５に示すように、マルウェアの検知を、例えば、攻撃先の装置付近を頂点とした揺らぎをレイヤ２０５ｂに発生させて表示する。

また、画像２０１は、不正な通信を示す情報を表示するレイヤ２０５ｃが、レイヤ２０５ｂと衛星軌道２０３との間に配置される。生成部１３２は、図５に示すように、不正な通信を、例えば、攻撃先の装置付近を頂点とした揺らぎをレイヤ２０５ｃに発生させて表示する。生成部１３２は、不正な通信が行われた場合には、例えば、レイヤ２０５ｃの揺らぎの頂点を、衛星軌道２０３上の攻撃先の装置に達するように表示する。すなわち、生成部１３２は、サイバー攻撃のレベル、つまり脅威が低いほど当該レベルに対応するレイヤが地球２０２の表面の側に配置され、当該レベルが高いほど当該レベルに対応するレイヤが衛星軌道２０３上の各装置の側に配置された画像を生成する。

生成部１３２は、例えば、マルウェアの検知または不正な通信が発生していない場合に、地球２０２と同心円状となるように、レイヤ２０５ｂおよびレイヤ２０５ｃを配置する。このとき、レイヤ２０５ｂおよびレイヤ２０５ｃは、例えば、色を透明または背景色に近い色として目立たないようにする。生成部１３２は、マルウェアの検知または不正な通信が発生した場合には、レイヤ２０５ｂまたはレイヤ２０５ｃの攻撃先の装置付近を頂点とした揺らぎ、例えば、膜を突き破るような動きを発生させる。生成部１３２は、揺らぎを発生させた部分のレイヤ２０５ｂまたはレイヤ２０５ｃについて、例えば、識別しやすい色で描画する。言い換えると、生成部１３２は、揺らぎとして例えばオーロラ状の表現を行う。これにより、マルウェアまたは不正な通信が視覚化され、脅威を分り易く表示することができる。

さらに、生成部１３２は、マルウェアの検知、または、不正な通信が発生した場合に、衛星軌道２０３上の攻撃先の装置に、攻撃を受けたことを示す印を配置する。生成部１３２は、画像２０１の例では、衛星軌道２０３上の攻撃先の装置２０４に、攻撃を受けたことを示す印２０７を配置する。また、生成部１３２は、マスタ情報記憶部１２１を参照して、マルウェアまたは不正な通信の攻撃元のＩＰアドレスから地理情報を取得する。生成部１３２は、例えば、地球２０２の表面における取得した地理情報に対応する領域に、攻撃元を示す印２０６を配置する。生成部１３２は、攻撃先の装置に配置された印と、攻撃元を示す印とを結ぶ線分を配置する。生成部１３２は、画像２０１の例では、攻撃先の装置２０４に配置された印２０７と、攻撃元を示す印２０６とを結ぶ線分２１０を配置する。図５中の他の例では、生成部１３２は、不正な通信が検知された攻撃先の装置に配置された印２０９と、攻撃元を示す印２０８とを結ぶ線分２１１を配置する。

生成部１３２は、サイバー攻撃のレベルが所定未満の場合には、攻撃を受けた装置を示す印は配置せず、当該レベルに対応するレイヤに攻撃元を示す印が配置された画像を生成する。また、生成部１３２は、サイバー攻撃のレベルが所定以上の場合には、サイバー攻撃を受けた装置を示す印が当該装置とともに配置され、当該レベルに対応するレイヤにおける当該装置に対応する領域の明度または色が変更された画像を生成する。言い換えると、生成部１３２は、ファイアウォールのイベントおよびＩＰＳイベントの場合には、対応するレイヤの攻撃元の領域に、例えば、明度または色が変更された印が配置された画像を生成する。また、生成部１３２は、マルウェアおよび不正な通信の場合には、対応するレイヤの攻撃先の装置とともに印が配置され、地球２０２の表面の攻撃元の領域に印が配置された画像を生成する。

また、生成部１３２は、例えば、マルウェアの検知に係る印を青色で表し、不正な通信に係る印を赤色で表すことができる。すなわち、生成部１３２は、例えば、脅威の高さに応じて異なる警戒色を用いて印を表す。また、生成部１３２は、画像２０１を動画像とし、攻撃元を示す印から攻撃先の装置に配置された印に向かって、攻撃を表す印、例えば、光点を移動させるようにしてもよい。さらに、生成部１３２は、例えば、対処済みのサイバー攻撃に対応する装置および攻撃元を示す印を、未対処の装置および攻撃元を示す印と異なる色で描画して配置してもよい。生成部１３２は、例えば、未対処の不正な通信に係る印を赤色で描画し、対処済みの不正な通信に係る印を緑色で描画して配置することができる。

また、生成部１３２は、各検知レベルの攻撃回数、攻撃元の地理情報等を地球２０２の周囲に配置する。図５の例では、生成部１３２は、画像２０１の右上から順番に、不正な通信を示す領域２１２、マルウェアを示す領域２１３、ＩＰＳイベントを示す領域２１４、および、ファイアウォールのイベントを示す領域２１５を配置する。また、生成部１３２は、例えば、画像２０１の左側の内側から外側に向かって順番に、攻撃元のＩＰアドレスに対応する地理情報を示す領域２１６、不正な通信を示す領域２１７、マルウェアを示す領域２１８、ＩＰＳイベントを示す領域２１９、および、ファイアウォールのイベントを示す領域２２０を配置する。

生成部１３２は、領域２１２に、例えば、所定時間内に発生した不正な通信の件数を示す。生成部１３２は、領域２１３に、例えば、マルウェアの攻撃パターンの種類と件数を示す。生成部１３２は、領域２１４に、例えば、ＩＰＳイベントを、さらに脅威の段階を分けた所定時間内の時系列のグラフを示す。生成部１３２は、領域２１５に、例えば、ファイアウォールの許可件数とブロック件数の所定時間内の時系列のグラフを示す。

生成部１３２は、領域２１６に、例えば、攻撃元のＩＰアドレスに対応する地理情報として、国名を示す。生成部１３２は、領域２１７に、例えば、地理情報に応じた不正な通信の攻撃元を表す印を示す。生成部１３２は、領域２１８に、例えば、地理情報に応じたマルウェアの攻撃元を表す印を示す。生成部１３２は、領域２１９に、例えば、地理情報に応じたＩＰＳイベントの攻撃元および件数を示す。生成部１３２は、領域２２０に、例えば、ファイアウォールでブロックした通信の攻撃元および件数を示す。ここで、領域２１９および領域２２０は、例えば、日について比較した差分を表示するようにしてもよい。すなわち、生成部１３２は、例えば、ある月の月始の日と月末の日とを比較し、月末の日の方が件数が多い場合には、基準より左にグラフを伸ばし月始の日の方が件数が多い場合には、基準より右にグラフを伸ばす。

また、生成部１３２は、例えば、１ヶ月の攻撃の履歴を日ごとに表示する領域２２１を配置する。生成部１３２は、領域２２１に、例えば、日ごとに不正な通信、マルウェア、ＩＰＳイベント、ファイアウォールのイベント等を配置する。また、生成部１３２は、領域２２２に、領域２１９および領域２２０で比較する日付、現在時刻等を配置する。

次に、図６および図７を用いて画像の生成の他の一例について説明する。図６は、攻撃を受けた場合の画像の他の一例を示す説明図である。図６に示す画像２３１は、図５に示す画像２０１と比べて、衛星軌道２０３の外側に配置した詳細情報を省略したものである。画像２３１は、地球２０２および衛星軌道２０３を画像２０１と比べて大きく配置できるので、攻撃元の地理情報をより把握しやすくなる。

図７は、攻撃を受けた場合の画像の他の一例を示す説明図である。図７に示す画像２４１は、自組織の各装置と攻撃元との関係を示す。生成部１３２は、例えば、画像の中央付近に地球２０２ａを配置し、サイバー攻撃の対象となる装置を地球２０２ａの右側の領域２４２に配置する。また、生成部１３２は、例えば、地球２０２ａの左側に内側から外側に向かって順番に、攻撃元のＩＰアドレスに対応する地理情報を示す領域２４３、不正な通信を示す領域２４４、および、マルウェアを示す領域２４５を配置する。また、生成部１３２は、例えば、領域２４５の外側に、内側から外側に向かって順番に、ＩＰＳイベントを示す領域２４６、および、ファイアウォールのイベントを示す領域２４７を配置する。ここで、領域２４６および領域２４７は、図５の領域２１９および領域２２０と同様に、例えば、日について比較した差分を表示するようにしてもよい。

また、生成部１３２は、領域２４２の攻撃先の装置と、領域２４３の攻撃元のＩＰアドレスに対応する地理情報とを結ぶ線分２４８を配置する。生成部１３２は、例えば、マルウェアによる攻撃について、攻撃先の装置２５２と、領域２４５に印２５１が配置されている攻撃元の地理情報「Ｕｋｒａｉｎｅ」とを結ぶ線分２４８を配置する。なお、図７中、領域２４２の各装置と領域２４３の各地理情報とを結ぶ線分２４８は、一部を省略している。同様に、生成部１３２は、例えば、不正な通信による攻撃について、攻撃先の装置２５０と、領域２４４に印２４９が配置されている攻撃元の地理情報「Ｉｔａｌｙ」とを結ぶ線分２４８を配置する。

また、生成部１３２は、各検知レベルの攻撃回数等を図５と同様に、領域２１２〜２１５に配置する。さらに、生成部１３２は、例えば、１ヶ月の攻撃の履歴を日ごとに表示する領域２２１を図５と同様に配置する。生成部１３２は、領域２２２に、領域２４６および領域２４７で比較に用いる日付、現在時刻等を配置する。なお、上述の生成される画像は、各画像を含む画像情報として生成してもよい。

図１の説明に戻って、出力部１３３は、生成部１３２から生成された画像が入力されると、入力された画像を通信部１１０および内部ネットワークＮ２を介して、端末装置５０に送信する。出力部１３３は、入力された画像が所定の時間間隔で更新される場合には、更新ごとに画像を端末装置５０に送信する。また、出力部１３３は、入力された画像が動画像である場合には、例えば、ＲＴＳＰ（Real Time Streaming Protocol）、ＲＴＭＰ（Real Time Messaging Protocol）等を用いて端末装置５０にストリーミング配信を行ってもよい。

次に、実施例１の表示装置の動作について説明する。図８は、実施例１の表示装置の処理の一例を示すフローチャートである。表示装置１００の取得部１３１は、通信部１１０を介してイベント管理装置３０からアラート情報およびイベント情報のうち１つ以上を取得する。取得部１３１は、入力されたイベント情報を、例えば、所定の時間ごとに統計解析を行って統計情報を生成し取得する（ステップＳ１）。取得部１３１は、生成した統計情報を統計情報記憶部１２２に記憶する。また、取得部１３１は、入力されたアラート情報をアラート情報記憶部１２３に記憶する。

生成部１３２は、統計情報記憶部１２２およびアラート情報記憶部１２３を参照し、統計情報およびアラート情報を取得する。生成部１３２は、取得した統計情報およびアラート情報に基づいて、サイバー攻撃の検知レベルに対応するレイヤについて、攻撃元および対象の装置に対応する領域の表示を変更する（ステップＳ２）。生成部１３２は、例えば、攻撃先の装置付近を頂点とした揺らぎを対応するレイヤに発生させる。

生成部１３２は、マルウェアの検知、または、不正な通信が発生した場合に、攻撃先の装置、つまり対象の装置に、攻撃を受けたことを示す印を配置する。また、生成部１３２は、地球の表面における攻撃元のＩＰアドレスに対応する地理情報の領域、つまり攻撃元の地表に攻撃元を示す印を配置する（ステップＳ３）。

生成部１３２は、攻撃先の装置に配置された印と、攻撃元を示す印とを結ぶ線分を配置する（ステップＳ４）。すなわち、生成部１３２は、ステップＳ２〜Ｓ４で、攻撃に対応するレイヤについて揺らぎを発生させ、対象の装置と攻撃元の地表とに印を配置し、印の間を結ぶ線分を配置した画像を生成する。生成部１３２は、生成した画像を出力部１３３に出力する。出力部１３３は、通信部１１０および内部ネットワークＮ２を介して、生成された画像を端末装置５０に出力する。これにより、端末装置５０では、自組織の各装置に対するサイバー攻撃の脅威を分り易く表示することができる。

このように、表示装置１００は、サイバー攻撃の対象となる装置に関して検知されたサイバー攻撃の情報を取得する。また、表示装置１００は、地球を示す画像と、該地球を示す画像の周囲に配置された装置を示す画像と、地球を示す画像の表面と装置を示す画像との間に配置され、取得したサイバー攻撃の情報に基づき、装置に関して検知されたサイバー攻撃のレベルを示す画像とを含む画像情報を生成し、該生成された画像情報を出力する。その結果、装置に対するサイバー攻撃の脅威を分り易く表示できる。また、サイバー攻撃に詳しくない人物、例えば、経営層の人物に対して、サイバー攻撃の脅威を分り易く表示できる。

また、表示装置１００は、地球を示す画像の表面と装置を示す画像との間にレベルに対応する複数のレイヤが配置され、レベルに応じたレイヤについてサイバー攻撃の攻撃元または装置に対応する領域の表示が変更された画像情報を生成する。その結果、攻撃元がどこであり、攻撃のレベルがどの程度であり、攻撃先がどの装置であるかを分り易く表示できる。また、脅威の低い攻撃の回数および増加パターン等に基づく重大な脅威の予兆を分り易く表示できる。

また、表示装置１００は、レベルが低いほど当該レベルに対応するレイヤが地球を示す画像の表面の側に配置され、レベルが高いほど当該レベルに対応するレイヤが装置を示す画像の側に配置された画像情報を生成する。その結果、装置に近いレイヤであるかどうかで装置に対する攻撃のレベルが高いか低いかを分り易く表示できる。

また、表示装置１００は、レベルが所定未満の場合には、サイバー攻撃を受けた装置を示す印は配置せず、レベルに対応するレイヤに攻撃元を示す印が配置された画像情報を生成する。その結果、サイバー攻撃の脅威が未だ高くないことを分り易く表示できる。

また、表示装置１００は、レベルが所定以上の場合には、サイバー攻撃を受けた装置を示す印が装置を示す画像とともに配置され、レベルに対応するレイヤにおける装置を示す画像に対応する領域の明度または色が変更された画像情報を生成する。その結果、ある装置に対するサイバー攻撃の脅威が高いことを分り易く表示できる。

また、表示装置１００は、さらに、地球を示す画像の表面に攻撃元を示す印が配置され、印とサイバー攻撃を受けた装置を示す印とを結ぶ線分が配置された画像情報を生成する。その結果、どこからどの装置へのサイバー攻撃が脅威であるかを分り易く表示できる。

また、表示装置１００は、対処済みのサイバー攻撃に対応する装置および攻撃元を示す印を、未対処の装置および攻撃元を示す印と異なる色で描画された画像情報を生成する。その結果、対処済みのサイバー攻撃を分り易く表示できる。

また、表示装置１００は、装置を示す画像のうち、外部にＩＰアドレスが公開されている装置を示す画像が、それぞれ隣接するように地球を示す画像の周囲に配置された画像情報を生成する。その結果、サイバー攻撃を受けやすい装置を分り易く表示できる。

また、表示装置１００は、同一種類の装置が複数ある場合に、各装置を示す画像を１つに纏めて地球を示す画像の周囲に配置され、１つに纏めて配置された装置を示す画像が選択されると、各装置のそれぞれの情報が表示された画像情報を生成する。その結果、数が多い装置の全体および個別の情報を分り易く表示できる。

また、上記実施例１では、外部ネットワークＮ１から自組織の各装置が攻撃を受ける場合を説明したが、自組織の装置から外部へのアクセスが発生した場合の画像を生成しても良く、この場合の実施の形態につき、実施例２として以下に説明する。

実施例２の表示装置は、実施例１の表示装置１００と同一の機能構成であり、実施例１の表示装置１００と同一の構成には同一符号を付すことで、その重複する構成および動作の説明については省略する。実施例２の表示装置が実施例１の表示装置１００と異なるところは、自組織の装置から外部へのアクセスについて画像を生成する点にある。このため、実施例２では、生成部１３２で生成される画像について説明する。

図９は、自組織の装置から外部へのアクセスが発生した場合の画像の一例を示す説明図である。図９に示すように、画像２６１は、中心に地球２０２が配置され、地球２０２の外側の衛星軌道２０３上に、図５に示す画像２０１と同様に、サイバー攻撃の対象となる装置が配置される。また、画像２６１は、図５に示す画像２０１と同様に、ファイアウォールで検知した通信の宛先について、マスタ情報記憶部１２１を参照して宛先のＩＰアドレスに対応する地理情報を取得して、地球２０２の表面に配置される。

また、画像２６１は、図５に示す画像２０１と同様に、地球２０２の表面と衛星軌道２０３上の各装置との間に、ＩＰＳイベントを示す情報を表示するレイヤ２０５ａが配置される。また、図示はしないが、図５のレイヤ２０５ｂおよびレイヤ２０５ｃに相当するマルウェアによる通信および不正な通信を示す情報を表示するレイヤが配置される。

生成部１３２は、例えば、衛星軌道２０３上の装置２０４から外部に対してマルウェアによる通信が発生した場合には、発信元の装置２０４に発信元を示す印２６２を配置する。また、生成部１３２は、例えば、マルウェアによる通信の宛先のＩＰアドレスに対応する地理情報の領域に宛先を示す印２６３を配置する。さらに、生成部１３２は、例えば、印２６２と印２６３とを結ぶ線分２６４を配置する。

また、生成部１３２は、例えば、図５に示す画像２０１と同様に、各検知レベルの検知回数、宛先の地理情報等を地球２０２の周囲に、領域２１２〜領域２２２として配置する。

次に、図１０および図１１を用いて画像の生成の他の一例について説明する。図１０は、自組織の装置から外部へのアクセスが発生した場合の画像の他の一例を示す説明図である。図１０に示す画像２８１は、図９に示す画像２６１と比べて、衛星軌道２０３の外側に配置した詳細情報を省略したものである。画像２８１は、地球２０２および衛星軌道２０３を画像２６１と比べて大きく配置できるので、宛先の地理情報をより把握しやすくなる。

図１１は、自組織の装置から外部へのアクセスが発生した場合の画像の他の一例を示す説明図である。図１１に示す画像３０１は、自組織の各装置と宛先との関係を示す。生成部１３２は、例えば、画像の中央付近に地球２０２ｂを配置し、外部へのアクセスが発生した装置を地球２０２ｂの右側の領域２４２に配置する。また、生成部１３２は、例えば、地球２０２ｂの左側に内側から外側に向かって順番に、宛先のＩＰアドレスに対応する地理情報を示す領域２４３、不正な通信を示す領域２４４、および、マルウェアを示す領域２４５を配置する。また、生成部１３２は、例えば、領域２４５の外側に、ＩＰＳイベントを示す領域２４６ａ、および、ファイアウォールのイベントを示す領域２４７ａを配置する。領域２４７ａは、例えば、領域２４６ａと基準を合わせて重畳表示されるように配置する。ここで、領域２４６ａおよび領域２４７ａは、図５の領域２１９および領域２２０と同様に、例えば、日について比較した差分を表示するようにしてもよい。

また、生成部１３２は、領域２４２の外部へのアクセスが発生した装置と、領域２４３の宛先のＩＰアドレスに対応する地理情報とを結ぶ線分を配置する。生成部１３２は、例えば、マルウェアによる外部へのアクセスについて、外部へのアクセスが発生した装置３０５と、領域２４５に印３０６が配置されている宛先の地理情報「Ｖｉｅｔ Ｎａｍ」とを結ぶ線分３０７を配置する。同様に、生成部１３２は、例えば、不正な通信による外部へのアクセスについて、外部へのアクセスが発生した装置３０２と、領域２４４に印３０３が配置されている宛先の地理情報「Ｂｒａｚｉｌ」とを結ぶ線分３０４を配置する。

また、生成部１３２は、各検知レベルのアクセス回数等を図５と同様に、領域２１２〜２１５に配置する。さらに、生成部１３２は、例えば、１ヶ月の外部へのアクセス履歴を日ごとに表示する領域２２１を図５と同様に配置する。生成部１３２は、領域２２２に、領域２４６ａおよび領域２４７ａで比較に用いる日付、現在時刻等を配置する。

このように、実施例２の表示装置は、サイバー攻撃の対象となる装置に関して検知された外部ネットワークＮ１へのアクセスの情報を取得する。また、実施例２の表示装置は、地球を示す画像と、該地球を示す画像の周囲に配置された装置を示す画像と、地球を示す画像の表面と装置を示す画像との間に配置され、取得した外部ネットワークへのアクセスの情報に基づき、装置に関して検知された外部ネットワークへのアクセスのレベルを示す画像とを含む画像情報を生成し、生成された画像情報を出力する。その結果、サイバー攻撃に伴う情報漏洩の脅威を分り易く表示できる。

なお、上記の各実施例では、サイバー攻撃の検知レベルを４段階としたが、これに限定されない。例えば、脅威のレベルが高い不正な通信とマルウェアの２段階とした画像を生成して出力するようにしてもよい。これにより、サイバー攻撃に詳しくない人物に対してもサイバー攻撃の脅威を分り易く表示できる。

また、上記の各実施例では、自組織の各装置を衛星軌道上に配置したが、これに限定されない。例えば、拠点、支店等を配置してもよい。これにより、拠点や支店が存在しない国や地域に対するアクセスが可視化され、不適切なアクセスについて管理者に気付きを与えることができる。

また、上記の各実施例では、セキュリティセンサ２０にゲートウェイとファイアウォールとを設けたが、これに限定されない。例えば、ゲートウェイとファイアウォールとを別途設けてもよく、別途設けたファイアウォールからイベント管理装置３０にファイアウォールのイベント情報を送信するようにしてもよい。

また、図示した各部の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各部の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、生成部１３２を、画像２０１を生成する第１生成部と画像２４１を生成する第２生成部とに分散する構成としてもよい。

さらに、各装置で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro Controller Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウェア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。

ところで、上記の実施例で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施例と同様の機能を有するプログラムを実行するコンピュータの一例を説明する。図１２は、表示プログラムを実行するコンピュータの一例を示す説明図である。

図１２が示すように、コンピュータ４００は、各種演算処理を実行するＣＰＵ４０１と、データ入力を受け付ける入力装置４０２と、モニタ４０３とを有する。また、コンピュータ４００は、記憶媒体からプログラム等を読み取る媒体読取装置４０４と、各種装置と接続するためのインタフェース装置４０５と、他の情報処理装置等と有線または無線により接続するための通信装置４０６とを有する。また、コンピュータ４００は、各種情報を一時記憶するＲＡＭ４０７と、ハードディスク装置４０８とを有する。また、各装置４０１〜４０８は、バス４０９に接続される。

ハードディスク装置４０８には、図１に示した取得部１３１、生成部１３２および出力部１３３の各処理部と同様の機能を有する表示プログラムが記憶される。また、ハードディスク装置４０８には、マスタ情報記憶部１２１、統計情報記憶部１２２、アラート情報記憶部１２３、および、表示プログラムを実現するための各種データが記憶される。入力装置４０２は、例えば、コンピュータ４００の管理者から操作情報等の各種情報の入力を受け付ける。モニタ４０３は、例えば、コンピュータ４００の管理者に対して各種画面を表示する。インタフェース装置４０５は、例えば印刷装置等が接続される。通信装置４０６は、例えば、図１に示した通信部１１０と同様の機能を有し、イベント管理装置３０および内部ネットワークＮ２と接続され、イベント管理装置３０および端末装置５０と各種情報をやりとりする。

ＣＰＵ４０１は、ハードディスク装置４０８に記憶された各プログラムを読み出して、ＲＡＭ４０７に展開して実行することで、各種の処理を行う。また、これらのプログラムは、コンピュータ４００を図１に示した取得部１３１、生成部１３２および出力部１３３として機能させることができる。

なお、上記の表示プログラムは、必ずしもハードディスク装置４０８に記憶されている必要はない。例えば、コンピュータ４００が読み取り可能な記憶媒体に記憶されたプログラムを、コンピュータ４００が読み出して実行するようにしてもよい。コンピュータ４００が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal Serial Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこの表示プログラムを記憶させておき、コンピュータ４００がこれらから表示プログラムを読み出して実行するようにしてもよい。

１０ 情報処理装置
２０ セキュリティセンサ
３０ イベント管理装置
４０ Ｗｅｂサーバ
５０ 端末装置
１００ 表示装置
１１０ 通信部
１２０ 記憶部
１２１ マスタ情報記憶部
１２２ 統計情報記憶部
１２３ アラート情報記憶部
１３０ 制御部
１３１ 取得部
１３２ 生成部
１３３ 出力部
Ｎ１ 外部ネットワーク
Ｎ２ 内部ネットワーク

一つの態様では、表示方法は、サイバー攻撃の対象となる装置に関して検知されたサイバー攻撃の情報を取得する処理をコンピュータが実行する。また、表示方法は、地球を示す画像と、該地球を示す画像の周囲に配置された前記装置を示す画像と、前記地球を示す画像の表面と前記装置を示す画像との間に配置され、前記取得した前記サイバー攻撃の情報に基づき、前記装置に関して検知されたサイバー攻撃のレベルを示す画像と、前記サイバー攻撃の情報に基づき、第１の期間内に検知されたサイバー攻撃を分析した攻撃内容を示す画像とを含む画像情報を生成し、該生成された画像情報を出力する処理をコンピュータが実行する。

Claims (11)

1. サイバー攻撃の対象となる装置に関して検知されたサイバー攻撃の情報を取得し、
   地球を示す画像と、該地球を示す画像の周囲に配置された前記装置を示す画像と、前記地球を示す画像の表面と前記装置を示す画像との間に配置され、前記取得した前記サイバー攻撃の情報に基づき、前記装置に関して検知されたサイバー攻撃のレベルを示す画像とを含む画像情報を生成し、
   該生成された画像情報を出力する
   処理をコンピュータが実行することを特徴とする表示方法。
2. 前記生成する処理は、前記地球を示す画像の表面と前記装置を示す画像との間に前記レベルに対応する複数のレイヤが配置され、前記レベルに応じた前記レイヤについて前記サイバー攻撃の攻撃元または前記装置に対応する領域の表示が変更された画像情報を生成することを特徴とする請求項１に記載の表示方法。
3. 前記生成する処理は、前記レベルが低いほど当該レベルに対応するレイヤが前記地球を示す画像の表面の側に配置され、前記レベルが高いほど当該レベルに対応するレイヤが前記装置を示す画像の側に配置された画像情報を生成することを特徴とする請求項２に記載の表示方法。
4. 前記生成する処理は、前記レベルが所定未満の場合には、前記サイバー攻撃を受けた装置を示す印は配置せず、前記レベルに対応するレイヤに前記攻撃元を示す印が配置された画像情報を生成することを特徴とする請求項２に記載の表示方法。
5. 前記生成する処理は、前記レベルが所定以上の場合には、前記サイバー攻撃を受けた装置を示す印が前記装置を示す画像とともに配置され、前記レベルに対応するレイヤにおける前記装置を示す画像に対応する領域の明度または色が変更された画像情報を生成することを特徴とする請求項２に記載の表示方法。
6. 前記生成する処理は、さらに、前記地球を示す画像の表面に前記攻撃元を示す印が配置され、前記印と前記サイバー攻撃を受けた装置を示す印とを結ぶ線分が配置された画像情報を生成することを特徴とする請求項５に記載の表示方法。
7. 前記生成する処理は、対処済みの前記サイバー攻撃に対応する前記装置および前記攻撃元を示す印を、未対処の前記装置および前記攻撃元を示す印と異なる色で描画された画像情報を生成することを特徴とする請求項５または６に記載の表示方法。
8. 前記生成する処理は、前記装置を示す画像のうち、外部にＩＰアドレスが公開されている前記装置を示す画像が、それぞれ隣接するように前記地球を示す画像の周囲に配置された画像情報を生成することを特徴とする請求項１〜７のいずれか１項に記載の表示方法。
9. 前記生成する処理は、同一種類の前記装置が複数ある場合に、前記各装置を示す画像を１つに纏めて前記地球を示す画像の周囲に配置され、１つに纏めて配置された前記装置を示す画像が選択されると、前記各装置のそれぞれの情報が表示された画像情報を生成することを特徴とする請求項１〜８のいずれか１項に記載の表示方法。
10. サイバー攻撃の対象となる装置に関して検知されたサイバー攻撃の情報を取得する取得部と、
    地球を示す画像と、該地球を示す画像の周囲に配置された前記装置を示す画像と、前記地球を示す画像の表面と前記装置を示す画像との間に配置され、前記取得した前記サイバー攻撃の情報に基づき、前記装置に関して検知されたサイバー攻撃のレベルを示す画像とを含む画像情報を生成する生成部と、
    前記生成部により生成された画像情報を出力する出力部と
    を有することを特徴とする表示装置。
11. サイバー攻撃の対象となる装置に関して検知されたサイバー攻撃の情報を取得し、
    地球を示す画像と、該地球を示す画像の周囲に配置された前記装置を示す画像と、前記地球を示す画像の表面と前記装置を示す画像との間に配置され、前記取得した前記サイバー攻撃の情報に基づき、前記装置に関して検知されたサイバー攻撃のレベルを示す画像とを含む画像情報を生成し、
    該生成された画像情報を出力する
    処理をコンピュータに実行させることを特徴とする表示プログラム。

Images